安全策略组设置

对于大部分计算机用户来说，管理计算机基本上是借助某些第三方工具，甚至是自己手工修改注册表来实现。

其实WindowsXP组策略已经把这些功能集于一体，通过组策略及相关工具完全可以实现我们所需要的功能。

一、组策略基础1.什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。

而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。

其实简单地说，组策略设置就是在修改注册表中的配置。

当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。

2.组策略的版本对于Windows 9X/NT用户来说，都知道“系统策略”的概念，其实组策略就是系统策略的高级扩展，它是自Windows9X/NT的“系统策略”发展而来的，具有更多的管理模板、更灵活的设置对象及更多的功能，目前主要应用于Windows2000/XP/2003操作系统中。

早期系统策略的运行机制是通过策略管理模板，定义特定的POL(通常是Config.pol)文件。

当用户登录时，它会重写注册表中的设置值。

当然，系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。

而组策略及其工具，则是对当前注册表进行直接修改。

显然，Windows2000/XP/2003系统的网络功能是其最大的特色之处，所以其网络功能自然是不可少的，因此组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个ActiveDirectory(活动目录)对象(即站点、域或组织单位)并对其进行设置。

这是以前“系统策略编辑器”工具无法做到的。

当然，无论是“系统策略”还是“组策略”，它们的基本原理都是修改注册表中相应的配置项目，从而达到配置计算机的目的，只是它们的一些运行机制发生了变化和扩展而已。

3.在WindowsXP中运行组策略在Windows2000/XP/2003系统中，系统默认已经安装了组策略程序，在“开始”菜单中，单击“运行”选项，在打开的对话框中输入“gpedit.msc”并确定，即可运行组策略。

如图1所示。

使用上面的方法，打开的组策略对象是当前的计算机，而如果需要配置其他的计算机组策略对象，则需要将组策略作为独立的MMC管理单元打开：(1)打开Microsoft管理控制台(可在“开始”菜单的“运行”对话框中直接输入“MMC”并确定)。

(2)单击“文件→添加/删除管理单元”菜单命令，在打开的对话框中单击“添加”按钮。

(3)在“可用的独立管理单元”对话框中，单击“组策略”选项，然后单击“添加”按钮。

(4)在“选择组策略对象”对话框中，单击“本地计算机”选项编辑本地计算机对象，或通过单击“浏览”查找所需的组策略对象。

(5)单击“完成”按钮，组策略管理单元即打开要编辑的组策略对象。

(6)在左窗格中定位需要更改的选项的位置，在右窗格中右键单击需要更改的具体选项，单击“属性”命令，即可打开其属性对话框，从中选择“已启用”、“未配置”、“已禁用”选项即可对计算机策略进行管理。

4.组策略中的管理模板在Windows2000/XP/2003中包含几个ADM文件。

这些文件是文本文件，被称为“管理模板”，它们为组策略管理单元的控制树中“管理模板”文件夹下的项目提供策略信息。

在Windows2000/XP/2003中，默认的Admin.adm管理模板位于系统文件夹的INF文件夹中，包含了默认安装下的4个模板文件，分别为：(1)System.adm：默认安装在“组策略”中，用于系统设置。

(2)Inetres.adm：默认安装在“组策略”中，用于InternetExplorer(IE)策略设置。

(3)Wmplayer.adm：用于Windows MediaPlayer设置。

(4)Conf.adm：用于NetMeeting设置。

在策略管理控制台中，可以多次添加“策略模板”，下面让我们来看看具体操作：首先运行“组策略”程序，然后选择“计算机配置”或者“用户配置”下的“管理模板”，单击鼠标右键，选择“添加/删除模板”命令，然后在打开的对话框中单击“添加”按钮，在打开的对话框中选择相应的ADM文件。

单击“打开”按钮，则在系统策略编辑器中打开选定的脚本文件，并等待用户执行。

返回到“组策略”编辑器主界面后，依次打开目录“本地计算机策略→用户配置→管理模板”选项，再单击相应的目录树，就会看到我们新添加的管理模板所产生的配置项目了。

注意：下面的操作均在WindowsXP中进行。

二、个性化我的电脑1.删除“开始”菜单中的“文档”菜单项在多人使用的计算机中，有的用户不希望其他用户看到自己曾经编辑过的文档或其他信息。

因此，为了删除用于记录历史文档的“文档”菜单项，我们可以通过修改组策略来实现。

位置：\用户配置\管理模板\任务栏和“开始”菜单\启用此设置，则系统保存“文档”快捷方式，但不在“文档”菜单中显示它们。

如果以后禁用此设置或把它设置为未配置，则启用设置之前及其生效之时保存的“文档”快捷方式会出现在“文档”菜单项中。

如图2所示。

注意：此设置不会阻止Windows程序在最近打开的文档中显示快捷方式。

另外，你也可以设置在退出系统时自动清除最近打开的文档的历史记录。

位置：\用户配置\管理模板\任务栏和“开始”菜单\如果禁用该策略设置，系统就会在用户退出时删除快捷方式。

因此，用户登录时，“开始”菜单上的文档菜单总是空的。

如果禁用或不配置此设置，系统将保留文档快捷方式，并且用户登录时的文档菜单看起来与用户退出系统时完全相同。

注意：系统在\DocumentsandSettings\\Recent文件夹中的用户配置文件中保存文档快捷方式。

2.删除“开始”菜单中的“运行”菜单项在“开始”菜单中有“运行”菜单项，可以输入程序名称来启动程序。

我们可以将“运行”菜单项从“开始”菜单中删除。

位置：\用户配置\管理模板\任务栏和“开始”菜单\如果启用该设置，发生如下更改：(1)“运行”命令从“开始”菜单中删除。

(2)新建任务(运行)命令从任务管理器删除。

(3)阻止用户在IE地址栏中输入下列项：UNC路径：\\＜server＞\＜share＞。

访问本地驱动器：例如，C:。

访问本地文件夹：例如，\temp＞。

同时，使用WIN+R组合键将无法显示“运行”对话框。

如果禁用或不配置此设置，用户可以访问“开始”菜单和任务管理器的“运行”命令，以及使用IE地址栏。

注意：这个策略只影响指定的界面。

不会防止用户使用其他方法运行程序。

3.给“开始”菜单减肥如果觉得Windows的“开始”菜单太臃肿，你完全可以通过组策略设置将不需要的菜单项从“开始”菜单中删除。

位置：\用户配置\管理模板\任务栏和“开始”菜单\在组策略右侧窗格中，提供“从‘开始’菜单删除用户文件夹”、“删除到‘Windows Update’的访问和链接”、从‘开始’菜单删除公用程序组、从‘开始’菜单中删除“我的文档”图标等配置项目。

你只要将不需要的菜单项所对应的策略启用即可。

4.隐藏和禁用桌面上的所有项目该策略可以从桌面上删除图标、快捷方式和其他默认的和用户定义的项目。

位置：\用户配置\管理模板\桌面\该策略删除图标和快捷方式不防止用户用另一种方法启动程序或打开图标和快捷方式所代表的项目。

5.退出时不保存用户设置该策略用于防止用户保存对桌面的某些更改。

位置：\用户配置\管理模板\桌面\如果你启用这个设置，用户可以对桌面做某些更改，但有些更改，比如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存。

6.启用/禁用“活动桌面”(ActiveDesktop)活动桌面是Windows 98(及以后版本)或安装了IE4.0的系统中自带的高级功能，它最大的特点是可以设置各种图片格式的墙纸，甚至可以将网页作为墙纸显示。

但出于对安全和性能的考虑，有时候我们需要禁用这一功能(并且防止用户启用它)。

位置：\用户配置\管理模板\桌面\ActiveDesktop提示：如果同时启用“启用Active Desktop”设置和“禁用Active Desktop”设置，“禁用ActiveDesktop”设置会被忽略。

如果“禁用Active Desktop和Web视图”设置(在“用户配置\管理模板\Windows组件\Windows资源管理器”)被启用，ActiveDesktop就会被禁用，并且这两个策略都会被忽略。

7.从“我的电脑”中删除共享文档当Windows用户在一个工作组中，一个“共享文档”图标会以Windows资源管理器的Web视图出现在“其他位置”和“在这台计算机上存储的其他文件”中。

使用此设置，你可选择不显示这些项目。

位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置，“共享文档”文件夹将不会以Web视图方式显示或在“我的电脑”中出现。

如果禁用或不配置此设置，当用户是“工作组”的一部分时，“共享文档”文件夹将会以Web 视图方式显示或在“我的电脑”中出现。

8.不要将已删除的文件移到“回收站”当Windows资源管理器中的一个文件或文件夹被删除时，该文件或文件夹的副本会被放在“回收站”里。

使用此策略，你能改变此行为。

位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置，使用Windows资源管理器删除的文件或文件夹不会被放在“回收站”里，因此被永久删除。

如果禁用或不配置此设置，使用Windows资源管理器删除的文件或文件夹会被放在“回收站”里。

三、利用组策略进行系统设置1.登录时不显示欢迎屏幕为了加快计算机启动的速度，我们完全可以通过组策略设置在每次用户登录时将Windows XP欢迎屏幕隐藏。

位置：\用户配置\管理模板\系统\要显示欢迎屏幕，请依次单击“开始→程序→附件→系统工具”选项，然后单击“开始”选项。

要在不指定设置的情况下不显示欢迎屏幕，请在欢迎屏幕上的复选框中清除“在开始显示这个屏幕”选项。

注意：这项设置出现在“计算机配置”和“用户配置”文件夹中。

如果配置这项设置，“计算机配置”中的设置比“用户配置”中的设置优先。

2.配置驱动程序查找位置默认情况下，Windows将从本地安装、软盘驱动器、光盘驱动器、WindowsUpdate等位置搜索驱动程序。

此设置配置查找到新硬件时Windows将要搜索驱动程序的位置。

位置：\用户配置\管理模板\系统\如果启用此设置，你可以通过检查位置名称的相关复选框，删除这三个位置中的任何位置。